RADIUS-weiering teenoor geen antwoord: wanneer plaaslike aanmelding werk

Om ’n noodplaaslike rekening te hou maak dit nie ’n tweede kans vir elke geweierde aanmelding nie. In die Cisco IOS- en IOS XE-AAA-model word daardie databasis slegs geraadpleeg wanneer die vroeëre metode op ’n spesifieke manier misluk, en ’n RADIUS-bediener wat met ’n weiering antwoord, het nie op daardie manier misluk nie. Die plaaslike rekening dek ’n onbereikbare metode, nie een wat geweier is nie. Om anders te glo verander ’n beleidsbesluit in ’n soektog na ’n bedienerfout wat nie bestaan nie.

Waarom die metodelys soos ’n leer lyk

’n Reël soos aaa authentication login default group radius local lees van links na regs, en meeste mense lees dit as probeer RADIUS, dan probeer die plaaslike databasis. Die sintaksis nooi daardie lesing uit, want ’n lys is ’n reeks. Die semantiek is nouer: die lys noem verifikasiemetodes, en die reël om van een na die volgende te gaan hang af van die resultaat van die vorige metode eerder as om die gebruiker nog ’n kans te gee.

’n Metode wat ’n fout teruggee en ’n metode wat ’n mislukking teruggee, lei hier tot verskillende uitkomste. Weiering is ’n antwoord, want die bediener het die geloofsbriewe verwerk en nee gesê, en die lys stop daar. ’n Onbereikbare bediener, ’n verstreke versoek of ’n antwoord wat nie gevalideer kan word nie, is die geval wat die volgende metode laat loop, en net waar die platform se fouthantering so opgestel is. Dit is waarom die klassieke raad om plaaslik by te voeg vir onderbrekings werk en niks vir verkeerde wagwoorde doen nie. Lees die lys eerder as twee vrae: watter metode antwoord, en wat die platform as ’n antwoord beskou.

Skei die metodelys van die bedienergroep

Die metodelys is een laag en die bedienergroep is ’n ander. Die sleutelwoord group radius noem ’n groep waarvan die interne volgorde, herprobeers, tydlimiete en dooie-bediener-opsporing aan die groep behoort, terwyl ’n plaaslike metode ’n laag daarbo is. Om enigiets binne die groep te verstel kan dus nie ’n weiering in ’n terugval verander nie. Bevestig watter lys die diens werklik verwys voordat jy enige laag verander.

Druk die AAA-konfigurasie en lees die lys waarna die diens wys, nie die verstek wat jy onthou jy geskryf het nie. Doen dit vanaf die toestel waarop die diens werklik eindig.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Die bedienertabel rapporteer elke inskrywing se toestand en tellers, wat jou vertel of die poort die bediener tydens die poging bereik het. ’n Bediener wat op gemerk is met ’n stygende versoekteller, het geantwoord, so die mislukte aanmelding is ’n besluit eerder as ’n verbindingsprobleem.

Lees die antwoord voordat jy die joernaal lees

Die antwoordkode noem die uitkoms en impliseer sy eie volgende stap. Access-Reject beteken die agterkant het ’n besluit geneem, so die nuttige bewyse is die beleid wat ooreengestem het en die rekeningtoestand daaragter. Access-Challenge beteken die uitruiling wil nog ’n ondersteunde stap soos ’n tweede faktor hê, en plaaslike terugval sou stilweg iets oorslaan wat die beleid vereis.

Reproduseer een poging met ’n aangewese toetsrekening sodat die antwoord en die agterkantrekord op dieselfde tydstempel vergelyk kan word. Gebruik ’n geloofsbrief wat jy mag laat misluk.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

’n Ontbrekende of onherkende RADIUS-kliëntinskrywing is ’n algemene oorsaak van ’n stil tydlimiet, want die bediener ontvang die versoek, vind geen passende kliëntdefinisie nie en laat dit val sonder om te antwoord. ’n Onooreenstemmige gedeelde geheim lyk gewoonlik ook soos ’n tydlimiet, want die antwoord faal in validering en word weggegooi. Nie een van dié lyk soos Access-Reject nie, en nie een word deur die byvoeging van ’n plaaslike rekening herstel nie. Kontroleer die kliëntdefinisie en die geheim aan beide kante voordat jy aan die metodelys raak.

Waarom die plaaslike rekening nooit iets bewys het nie

’n Rekening wat ná ’n groep in die lys staan, bewys net dat iemand vir ’n onderbreking beplan het. Dit sê niks oor of die plan werk nie, want die geval wat dit oefen, is die geval wat niemand oefen nie: die bediener het opgehou antwoord. ’n Plaaslike aanmelding wat in normale werking nooit bereik word nie, kan maande lank ’n verstreke wagwoord of ’n geslote toestand dra sonder dat iemand dit agterkom.

Noodtoegang is ’n ontwerpbesluit, nie ’n neweproduk van konfigurasie nie. Gee dit sy eie beperkte rekening, sy eie eienaar en ’n geskrewe herstelprosedure, en vou die rotasie van die gedeelde geheim in daardie prosedure in. Om ’n plaaslike wagwoord met dieselfde naam vir elke sentrale gebruiker te hou, is die patroon wat stilweg die toegang terugbring wat jy gedink het jy verwyder het.

Die toets wat saak maak, is doelbewus, en dit sal aanmeldings onderbreek terwyl dit loop. Dit is presies waarom dit in ’n geskeduleerde venster hoort met die terugrolstap eerste geskryf.

Kontroleer die terugvalpad tydens ’n onderhoudsvenster

Rangskik die toets so dat jy nooit die laaste weg in verwyder nie. Bevestig eers ’n onafhanklike bestuurspad, dan normale toegelate toegang, dan ’n doelbewuste weiering, dan die goedgekeurde onderbrekingsgedrag. Daardie vier gevalle het verskillende verwagte uitkomste, en om hulle in een toets saam te voeg, is hoe mense hulself uitsluit uit ’n toestel wat hulle nog nodig het.

Voer elke kontrole uit vanaf ’n konsole-sessie of ’n buiteband-pad, sodat ’n fout nie die sessie kan sluit waarin jy werk nie. Die konsole is die een pad wat nie van die komponent onder toets afhang nie.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Herstel daarna die vorige konfigurasie en bevestig dat die tellers weer beweeg by die volgende werklike aanmelding. As die doelbewuste weiering ’n plaaslike aanmelding lewer in plaas van ’n weiering, dan is die lys of die fouthantering nie wat jy geglo het nie, en daardie bevinding weeg swaarder as die onderbreking waarmee jy begin het. Skryf die resultaat in die veranderingsrekord langs die rekeningname en die datum van die toets.